CVE-2026-88867 in AVideo
Zusammenfassung
von VulDB • 10.09.2026
WWBN AVideo, nelle versioni fino e incluse al commit c3edcc274c389816d434acadac07ee78eaf330c1, presenta una vulnerabilità di stored cross-site scripting (XSS). Il file objects/categoryAddNew.json.php passa i parametri POST `name` e `iconClass` a Category::setName() e Category::setIconClass(), che memorizzano i valori senza sanitizzazione (setName tronca solo a 45 caratteri). Successivamente, il nome della categoria viene stampato come testo HTML e iconClass viene inserito in un attributo di classe in view/modeYoutubeBottom.php e nelle card della Galleria (plugin/Gallery/functions.php). Quando l'opzione CustomizeUser usersCanCreateNewCategories è abilitata, qualsiasi utente autenticato con autorizzazione canUpload (concessa di default tramite la registrazione autonoma) può creare una categoria contenente un payload JavaScript; il payload viene quindi eseguito nel browser di ogni visitatore, inclusi gli amministratori, che visualizza una pagina di riproduzione o una voce della galleria per un video assegnato a tale categoria, consentendo azioni come richieste autenticate con la sessione della vittima. Il problema non era stato patchato al momento della segnalazione.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.